SQL防注入 C#

            StringBuilder strSql = new StringBuilder();

            strSql.Append("insert into T_News(");
            strSql.Append("ID,Titles,Contents)");
            strSql.Append(" values (");
            strSql.Append("@ID,@Titles,@Contents)");
            SqlParameter[] parameters = {
                    new SqlParameter("@ID", SqlDbType.UniqueIdentifier,16),
                    new SqlParameter("@Titles", SqlDbType.NVarChar,50),
                    new SqlParameter("@Contents", SqlDbType.Text),
            parameters[0].Value = newguid;
            parameters[1].Value = obj.newstitle;
            parameters[2].Value = obj.content;

            int rows = DbHelperSQL.ExecuteSql(strSql.ToString(), parameters);
            if (rows > 0)
            {
                return newguid.ToString();
            }
            else
            {
                return Guid.Empty.ToString();
            }